近日研究人员Patrick Wardle发现一款专门为苹果M1芯片定制运行的恶意软件,并在其发布的一份报告中,详细解释了恶意软件如何开始被改编和重新编译,以便在M1芯片上原生运行。
Wardle使用VirusTotal的一个研究人员帐户来查找M1-本机恶意软件的实例,并找到一个扩展名为“GoSearch22”的应用程序。该应用程序捆绑包的Info.plist文件证实,这确实是一个macOS应用程序,而不是iOS程序。值得注意的是该应用程序已于2020年11月用苹果开发人员ID hongsheng_yan签名,但暂不清楚苹果是否对它进行了公证,因为苹果此后撤销了其证书。撤销该证书后,此版本的GoSearch22将不再在macOS上运行,除非它的作者设法使用另一个开发者密钥对其进行签名。因此可以推测,在证书撤销之前,这个恶意软件应用确实在野外感染了真正的MacOS用户。该恶意软件最初是为了在x86芯片上运行而编写的,是Pirrit Mac广告系列软件中的知名成员。Pirrit 是最古老和最活跃的Mac广告系列软件之一,以不断变化逃避检测而著称。“GoSearch22”广告软件表现为一个正版的Safari浏览器扩展,但会收集用户数据,并提供大量的广告,如横幅和弹出窗口,包括一些链接到恶意网站的广告,以扩散更多的恶意软件。Wardle指出,由于针对M1芯片的恶意软件仍处于早期阶段,因此杀毒软件并不像x86版本上那样容易检测到它,杀毒引擎等防御工具也在努力处理修改后的文件。
用于检测M1芯片上恶意软件威胁的签名还没有得到实质性的观察,所以目前能够查杀它的安全工具还没有出现。
更多细节可访问研究人员博客:
https://objective-see.com/blog/blog_0x62.html
文章来源: http://mp.weixin.qq.com/s?__biz=MjM5NTc2MDYxMw==&mid=2458381137&idx=2&sn=9f0468f90eee667499beef8b50aa9fee&chksm=b180dbdb86f752cda55d40b64fe6b3ccd64f6f94e680e37f9a9a952ccc6bb3214d16485808b1#rd
如有侵权请联系:admin#unsafe.sh